一、现有征信立法及其评价

征信是指对与个人信用状况和企业信用状况相关的信息进行采集、整理、保存、加工并对外提供的活动。⑴对于征信活动中信息主体享有的权利，一般认为包括隐私权、同意权、知情权、异议权、信息救济权，等等。⑵与征信在市场经济中的地位及国外征信发达国家相比，长期以来，我国对征信行业的立法明显滞后，立法层级较低，有关征信机构的设立、征信业务规则、信用信息权利保护、征信业监管及法律责任承担等均缺乏明确的法律规定，客观上不能适应征信市场的发展需要。2013年1月21日，国务院颁布《征信业管理条例》（以下简称《条例》），自2013年3月15日起施行。这是我国首次从国家层面对征信业作出全面的、专门性的规定，对征信业务规范及征信市场发展具有重要意义。《条例》对信息主体享有的同意权、知情权、异议权以及寻求行政和司法救济的权利作出了系统规定。同时，《条例》对一些侵犯信用信息权利的行为也进行了具体列举，并明确规定了相应的民事责任、行政责任和刑事责任。在刑事责任部分，对于未经国务院征信业监督管理部门批准，擅自设立经营个人征信业务的征信机构或者从事个人征信业务活动的；征信机构、金融信用信息基础数据库运行机构违反规定，实施有关行为的；向金融信用信息基础数据库提供信息或者查询信息的机构违反规定，实施相关行为的；信息使用者违反规定，未按照与个人信息主体约定的用途使用个人信息或者未经个人信息主体同意向第三方提供个人信息，情节严重或者造成严重后果的，要依法追究刑事责任。

与民事责任、行政责任相比，刑事责任具有保障性和最终性。正如有学者指出的，对于某种危害社会的行为，国家只有在运用民事的、行政的法律手段和措施，仍不足以抗制时，才能运用刑法的方法，亦即通过刑事立法将其规定为犯罪，处以一定的刑罚，并进而通过相应的刑事司法活动加以解决。⑶而且，就立法方式而言，鉴于刑事法律制裁手段的严厉性以及罪刑法定原则的要求，有关行为构成犯罪及追究刑事责任的条款一般在法律特别是专门的刑事法律中予以规定，而国务院作为行政机关其颁布的行政法规则不宜直接对某一类行为是否构成犯罪做出明示性规定。就此而言，《条例》详细列举一些侵犯信用信息权利的行为，并明确提出要追究相应的刑事责任，这种立法模式值得商榷。笔者建议，下一步在征信立法工作中要注意做好统筹规划，处理好与相关部门法的衔接问题，对《条例》规定的相关侵犯信用信息行为可以通过制订专门刑事法律，制订刑法修正案或者通过出台相关司法解释的方式单独做出规定，为实践中司法机关侦查、追诉和审判相关侵犯信用信息权利的违法犯罪行为提供法律适用依据。

二、刑事责任主体

（一）未经批准，擅自设立经营个人征信业务的征信机构或者从事个人征信业务活动的单位或自然人

征信表现为一种为信用活动提供的信息服务，即第三方专业机构通过依法收集、整理、保存、加工自然人、法人及其他组织的信用信息，并对外提供信用报告、信用咨询等服务，验证其信用，帮助客户判断、控制信用风险，进行信用管理的活动。⑷征信业务有广义和狭义之分，狭义的征信业务包括：信用信息登记、信用调查、信用评级和信用评分业务。广义的征信业务则还包括信用管理服务，主要是指利用已有的信用信息产品向社会提供信用风险的管理和咨询，分散、转移和减少信用风险的服务及技术支持，减少信用风险损失等征信增值服务。这类征信业务主要包括：信用管理咨询、评分模型开发等。根据《条例》的要求，征信机构须依法设立，其成立必须具备法定条件和程序。实践中，未经批准，擅自设立经营个人征信业务的征信机构或者从事个人征信业务活动，破坏了征信市场准入规则和征信监管制度，扰乱了市场秩序，情节严重的应承担相应的刑事责任。

（二）征信机构、金融信用信息基础数据库运行机构

征信机构是第三方中介机构，独立于信用交易关系之外，在采集、整理和分析自然人、法人或其他组织的信用信息资料，并以此为基础对外提供信用信息咨询、调查和信用评级等服务时都处于独立地位。⑸从产权的角度可以将征信机构划分为公共征信机构和私营征信机构。公共征信机构是由政府主导建立或运行，依靠行政力量实现信息收集，承担公共服务职能，不以营利为目的的征信机构。现实中，公共征信机构一般表现为由中央银行建立的公共信用信息登记机构。私营征信机构则是指产权私有、市场化运作的征信机构。目前，我国已经形成了以中国人民银行征信中心企业和个人征信系统为基础，私营征信机构、外资机构和多家信用评级机构并存的市场发展格局。征信机构的设立一般具有法定条件和程序。根据《条例》的规定，设立经营个人征信业务的征信机构，应当符合《公司法》规定的公司设立条件和下列条件，并经国务院征信业监督管理部门批准：1．主要股东信誉良好，最近3年无重大违法违规记录；2．注册资本不少于人民币5000万元；3．有符合国务院征信业监督管理部门规定的保障信息安全的设施、设备和制度、措施；4．拟任董事、监事和高级管理人员符合本条例第8条规定的任职条件：5．国务院征信业监督管理部门规定的其他审慎性条件。

为防范金融风险、促进金融业发展．我国专门设立了金融信用信息基础数据库，包括个人信用信息基础数据库和企业信用信息基础数据库，为金融企业提供相关信息服务。金融信用信息基础数据库由专业运行机构建设、运行和维护，不以营利为目的，由国务院征信业监督管理部门监督管理，该基础数据库与社会征信机构互相补充、互相促进，为社会提供高效的、多样化的产品服务。实践中，征信机构、金融信用信息基础数据库运行机构违反征信业务规则，违反规定向法规规定以外的单位或者个人提供信用报告、信用评估或者披露信用信息，或者以其他不正当手段获取个人信用信息，严重侵害信息主体合法权益的，应承担相应的刑事责任。

（三）向金融信用信息基础数据库提供或者查询信息的机构

根据有关规定，金融信用信息基础数据库接收从事信贷业务的机构按照规定提供的信贷信息，该基础数据库同时为信息主体和取得信息主体本人书面同意的信息使用者如贷款机构、担保机构等提供查询服务。例如根据《个人信用信息基础数据库管理暂行办法》（中国人民银行令[2005]第3号）第12条的规定，商业银行办理下列业务，可以向个人信用数据库查询个人信用报告：1．审核个人贷款申请的；2．审核个人贷记卡、准贷记卡申请的；3．审核个人作为担保人的；4．对已发放的个人信贷进行贷后风险管理的；5．受理法人或其他组织的贷款申请或其作为担保人，需要查询其法定代表人及出资人信用状况的。就商业银行等从事信贷业务的机构而言，也有义务按规定向金融信用信息基础数据库提供信贷信息；而且，向金融信用信息基础数据库或者其他主体提供信贷信息，应当事先取得信息主体的书面同意。

（四）信息使用者

信息使用者，是指从征信机构和金融信用信息基础数据库获取信息的单位和个人。根据有关规定，向征信机构查询个人信息的，除法律规定可以不经同意查询的之外，应当取得信息主体本人的书面同意并约定信息的用途。征信机构、信息提供者、信息使用者采用格式合同条款取得个人信息主体同意的，应当在合同中作出足以引起信息主体注意的提示，并按照信息主体的要求作出明确说明。信息使用者应当按照与个人信息主体约定的用途使用个人信息，不得用作约定以外的用途，不得未经个人信息主体同意向第三方提供。据此，信息使用者违反规定，未按照与个人信息主体约定的用途使用个人信息或者未经个人信息主体同意向第三方提供个人信息，情节严重或者造成严重后果的，应承担相应的刑事责任。

三、犯罪行为类型

（一）非法经营行为

我国对于从事个人征信业务设立了行政许可，建立了严格的市场准入制度。根据《条例》第7条的规定，申请设立经营个人征信业务的征信机构，应当向国务院征信业监督管理部门提交申请书和证明其符合本条例第6条规定条件的材料。国务院征信业监督管理部门应当依法进行审查，自受理申请之日起60日内作出批准或者不予批准的决定。决定批准的，颁发个人征信业务经营许可证；不予批准的，应当书面说明理由。经批准设立的经营个人征信业务的征信机构，凭个人征信业务经营许可证向公司登记机关办理登记。未经国务院征信业监督管理部门批准，任何单位和个人不得经营个人征信业务。因此，根据《刑法》第225条第（4）项的规定，对于未经国务院征信业监督管理部门批准，擅自设立经营个人征信业务的征信机构或者从事个人征信业务活动，应属于“其他严重扰乱市场秩序的非法经营行为”，对于情节严重的，可以非法经营罪依法追究刑事责任。

（二）出售、非法提供公民个人信息行为

根据《刑法》第253条之第1款、第3款的规定，“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处3年以下有期徒刑或者拘役，并处或者单处罚金。”“单位犯前款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照该款规定处罚。”从上述规定看，目前刑法重点对出售或者非法提供公民个人信息的行为进行了刑事法规范，个人信用信息作为公民个人信息的重要内容，当然在刑法保护范围之内。实践中，对于征信机构、金融信用信息基础数据库运行机构以及向金融信用信息基础数据库提供或者查询信息的机构违反规定，将开展业务过程中获取的公民个人信用信息非法提供或者出售给他人的，严重侵犯了信息主体的同意权和知情权，对于情节严重的，可以根据刑法的规定追究相关单位及其负责人员的刑事责任。

在具体操作中，要准确把握“出售”和“非法提供”的含义。所谓“出售”，是指有关单位将履职或提供服务过程中获得的公民个人信息以一定的价格销售给他人，从中牟取经济利益。这种行为不仅侵犯了公民对个人信息的控制权，有的还侵犯公民的人格权和生活安宁，甚至由于不当传播负面信息造成恶劣的社会影响，危害很大，必须予以严厉打击。所谓“非法提供”，要结合有关法律法规的具体规定来把握。如《征信业管理条例》第20条规定：信息使用者应当按照与个人信息主体约定的用途使用个人信息，不得用作约定以外的用途，不得未经个人信息主体同意向第三方提供；第29条规定：从事信贷业务的机构向金融信用信息基础数据库或者其他主体提供信贷信息，应当事先取得信息主体的书面同意，并适用本条例关于信息提供者的规定。据此，未经个人信息主体同意向第三方提供信息，或者未取得信息主体的书面同意，向金融信用信息基础数据库或者其他主体提供信贷信息的，均属于《刑法》第253条之第1款所指的“非法提供”。

（三）非法获取公民个人信息行为

根据《刑法》第253条第2款、第3款的规定，“窃取或者以其他方法非法获取上述信息，情节严重的，依照前款规定处罚。”“单位犯前款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照该款规定处罚。”由上述规定看，对窃取或者以其他方法非法获取公民个人信息的行为可以参照出售、非法提供公民个人信息行为予以刑事处罚。实践中，对于征信机构、金融信用信息基础数据库运行机构以及向金融信用信息基础数据库提供或者查询信息的机构违反规定，窃取或者以其他方法非法获取公民个人信用信息的，严重侵犯了信息主体的同意权和知情权，对于情节严重的，可以根据《刑法》第253条之一第1款的规定追究相关单位及其负责人员的刑事责任。具体操作中，要准确把握“以其他方法非法获取”的含义。所谓“其他方法”，是指除窃取之外，包括采取欺骗、威胁等不正当手段获取公民的信息，或擅自录入禁止录入的信息，违反规定采集禁止采集的信息，等等。

（四）妨害公务行为

《刑法》第277条第1款规定，以暴力、威胁方法阻碍国家机关工作人员依法执行职务的，处3年以下有期徒刑、拘役、管制或者罚金。根据《条例》第33条的规定，国务院征信业监督管理部门及其派出机构依照法律、行政法规和国务院的规定，履行对征信业和金融信用信息基础数据库运行机构的监督管理职责，可以采取下列监督检查措施：1．进入征信机构、金融信用信息基础数据库运行机构进行现场检查，对向金融信用信息基础数据库提供或者查询信息的机构遵守本条例有关规定的情况进行检查；2．询问当事人和与被调查事件有关的单位和个人，要求其对与被调查事件有关的事项作出说明；3．查阅、复制与被调查事件有关的文件、资料，对可能被转移、销毁、隐匿或者篡改的文件、资料予以封存；4．检查相关信息系统。被检查、调查的单位和个人应当配合，如实提供有关文件、资料，不得隐瞒、拒绝和阻碍。监管机构对征信机构等进行监督检查，是规范征信业务的客观需要，同时也是为了维护有关信息主体的权利，如信息主体认为征信机构采集、保存、提供的信息存在错误、遗漏的，向征信机构或者信息提供者提出异议及要求更正，以及认为征信机构或者信息提供者、信息使用者侵害其合法权益，向主管部门提出投诉的权利，等等。相应的，相关征信机构、金融信用信息基础数据库运行机构及向金融信用信息基础数据库提供或者查询信息的机构具有配合监管机构对征信业务进行监督检查的法定义务，对于采取暴力、威胁方法拒绝、阻碍国务院征信业监督管理部门或者其派出机构检查、调查或者不如实提供有关文件、资料的，可以根据《刑法》第277条第1款的规定以妨害公务罪追究其刑事责任。

四、有关刑事责任认定问题

（一）非法从事个人征信业务行为的认定

如前所述，对于未经监管部门批准，擅自设立经营个人征信业务的征信机构或者从事个人征信业务活动，情节严重的，可以非法经营罪追究刑事责任。实践中，认定上述行为是否构成犯罪必须准确把握非法经营罪构成要件中的“违反国家规定”。《条例》第6条至第9条对从事个人征信业务做出了明确规定，是实践中判断行为是否“违反国家规定”的依据，这对于《条例》颁布实施后非法从事个人征信业务行为在犯罪认定上一般不存在争议，但对于发生在2013年3月15日《条例》颁布实施以前的行为如何认定则容易产生争议。事实上，在《条例》颁布以前，我国部分省市已出台有关从事个人征信业务的地方性法规和管理规定。如《深圳市个人信用征信及信用评级管理办法》（2001年12月18日深圳市人民政府令第106号）第5条规定：“任何单位从事个人信用征信及评级业务，须经深圳市人民政府和中国人民银行深圳市中心支行批准，并依法办理工商登记手续。个人不得从事个人信用征信及评级业务。”《上海市个人信用征信管理试行办法》（2003年12月28日上海市人民政府令第15号）第4条、第31条规定：“上海市征信管理办公室负责对个人信用征信进行监督管理。中国人民银行上海分行按照国家有关规定，负责对涉及银行相关业务的个人信用征信进行监督管理。”“未经批准，擅自从事个人信用征信的，由工商行政管理部门依法处理。尽管上述地方行政规章对从事个人征信业务规定了严格的审批条件，违规者也应承担相应的法律责任，但这些规定尚不属于刑法意义上的“违反国家规定”。根据《刑法》第96条的规定，“本法所称违反国家规定，是指违反全国人民代表大会及其常务委员会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令”，据此，《条例》颁布实施以前违反有关地方法规非法从事个人征信业务的行为不应以非法经营罪处理，但可以依据有关规定追究其行政法律责任。

此外，根据《刑法》第225条的规定，非法从事个人征信业务行为只有达到情节严重程度才能以犯罪处理，目前，关于何为“情节严重”还缺乏具体的量化标准和规定，我们建议有关部门尽快出台相关司法解释，明确非法经营个人征信业务的起刑点，为司法实践中处理类似案件提供明确的操作依据。鉴于非法从事个人征信业务与金融业务活动性质类似，在司法解释出台以前，对于情节严重需要追究刑事责任的，立案标准可以参照2010年5月7日最高人民检察院、公安部《关于公安机关管辖的刑事案件立案追诉标准的规定（二）》第79条第（3）项关于非法经营证券、期货、保险、资金支付结算业务等行为的追诉标准办理。

（二）非法从事企业征信业务行为的认定

企业征信业务和个人征信业务针对的对象分别是企业信用信息和个人信用信息，这两个信息主体的法律属性具有明显差异：个人是具有情感和生命的民事主体，对自己的信息具有完全的控制权，其信息是以不公开为原则、公开为例外，相应的，法律规定了隐私权等制度对个人信息给予最大限度的保护；而企业是法律创设的特殊民事主体，其信息不仅关系到团体内部的个人利益，也关系到交易对方、购买其产品或服务的消费者的利益，还关系到市场竞争秩序，其信息应当是以公开为原则、不公开为例外，相应的，法律规定了商业秘密保护制度，仅保护不为公众所知悉，能为企业带来经济利益并已采取保密措施的信息。正是因为个人及个人隐私权在社会经济活动中所处的地位，各国征信立法实践更集中于个人隐私权的恰当保护，往往专门制定个人隐私及其权利保护法律。⑹相应的，各国征信立法一般对个人征信业务规定了更为严格的从业资格和审批程序。我国征信立法也是如此，对于从事企业征信业务的，在市场准入方面法律并未设置行政许可，仅提出了备案的工作要求。根据《条例》第10条的规定，“设立经营企业征信业务的征信机构，应当符合《中华人民共和国公司法》规定的设立条件，并自公司登记机关准予登记之日起30日内向所在地的国务院征信业监督管理部门派出机构办理备案，并提供下列材料：1．营业执照；2．股权结构、组织机构说明；3．业务范围、业务规则、业务系统的基本情况；4．信息安全和风险防范措施。备案事项发生变更的，应当自变更之日起30日内向原备案机构办理变更备案。”因此，对于未按规定报备案从事企业征信业务的，虽然经营行为也具有一定的违规性，但鉴于法律对开展此类业务未设置行政许可程序，其违法性和社会危害性程度较低，一般不宜根据《刑法》第225条的规定以非法经营罪追究刑事责任。当然，对于征信机构在从事企业征信业务过程中，实施出售、非法提供企业信息，以盗窃等不正当手段获取企业信息，泄露、虚构、篡改并散布企业信息等行为，给权利人造成重大损失或造成其他严重危害后果的，可以参照《刑法》第219条、第221条的规定，分别以侵犯商业秘密罪、损害商业信誉、商品声誉罪追究其法律责任。

（三）《条例》相关规定与刑法的衔接问题

根据《条例》第38条的规定，征信机构、金融信用信息基础数据库运行机构违反本条例规定，采集禁止采集的个人信息或者未经同意采集个人信息；因过失泄露信息；逾期不删除个人不良信息；未按照规定对异议信息进行核查和处理，构成犯罪的，依法追究刑事责任。根据《条例》第40条的规定，向金融信用信息基础数据库提供或者查询信息的机构违反本条例规定，未经同意查询个人信息或者企业的信贷信息；未按照规定处理异议或者对确有错误、遗漏的信息不予更正，构成犯罪的，依法追究刑事责任。应指出的是，上述刑事责任条款与现有《刑法》缺乏衔接，追究相关单位及人员刑事责任尚缺乏明确的刑法依据，依据罪刑法定原则，在《刑法》增设相关条款以前，实践中针对征信机构、金融信用信息基础数据库运行机构以及向金融信用信息基础数据库提供或者查询信息的机构实施的上述行为目前还不宜以犯罪处理。

【注释与参考文献】

⑴林铁钢主编：《征信概论》，中国金融出版社2012年版，第9页。

⑵祁红等：“信息提供人行为规范国际经验及启示”，张静峰等：“浅议个人征信活动中信用信息的规范利用和法律保护”，载《征信前沿问题研究》，中国经济出版社2010年版，第70页、第82页。

⑶陈兴良：《刑法哲学》，中国政法大学出版社1997年版，第7页。

⑷林铁钢主编：《征信概论》，中国金融出版社2012年版，第9页。

⑸王东胜等编：《社会信用体系原理》，中央广播电视大学出版社2011年版，第125页。

⑹李宁等：“征信制度建设中被征信人信息和权利保护研究”，载《征信前沿问题研究》，中国经济出版社2010年版，第27页。